KMS 密钥管理服务

密钥管理服务（KMS）集中完成密钥的创建、授权与审计，业务通过 API 请求加解密或签名，密钥材料不离开服务边界；适合集中治理，但要评估可用性、配额与调用延迟。

提供能力	创建/轮换/禁用密钥，授权策略，操作审计
使用方式	Encrypt/Decrypt、GenerateDataKey、Sign/Verify 等 API
边界	KMS 管理密钥本身，不承载业务数据存储

命令行调用示意（AWS CLI）

aws kms encrypt --key-id <key-id> --plaintext fileb://secret.txt \
  --output text --query CiphertextBlob | base64 -d > secret.enc

本地缓存明文会绕过 KMS 的集中治理能力，设计时要明确缓存策略与最短有效期。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌